Accord de traitement des données (DPA)

Accord conclu au titre de l’article 28 du règlement (UE) 2016/679 (RGPD). Il fait partie intégrante des CGU de la bêta acceptées par le Client lors de la création de son compte.

1. Parties et rôles

• Responsable de traitement : le Client abonné à VigiCréance (« le Client »).
• Sous-traitant : [RAISON SOCIALE], SIREN [SIREN], 9 rue Ampère, 94500 Champigny-sur-Marne (« VigiCréance »).

VigiCréance traite des données personnelles pour le compte du Client dans le cadre du Service. Pour ses traitements propres (compte, facturation, sécurité, index des annonces publiques du BODACC), VigiCréance est responsable de traitement : voir la politique de confidentialité.

2. Objet et durée

Le présent accord définit les conditions dans lesquelles VigiCréance traite, pour le compte du Client, les données personnelles nécessaires à la fourniture du Service. Il s’applique pendant toute la durée du contrat et jusqu’à la suppression ou la restitution des données (article 11).

3. Nature et finalités du traitement

VigiCréance traite les données pour : (i) comparer les annonces du BODACC aux numéros SIREN de la liste du Client et lui envoyer des Alertes ; (ii) calculer une date limite estimée ; (iii) pré-remplir une déclaration de créance à partir des factures et données fournies par le Client ; (iv) transmettre la déclaration signée par le Client au prestataire d’envoi en lettre recommandée avec avis de réception et suivre l’envoi ; (v) héberger, sauvegarder et sécuriser ces données. Les détails figurent en Annexe 1.

4. Catégories de données et de personnes concernées

• Personnes concernées : dirigeants et représentants des entreprises débitrices du Client ; entrepreneurs individuels débiteurs ; salariés ou contacts des débiteurs cités dans les factures ; mandataires judiciaires et liquidateurs cités dans les annonces ; utilisateurs du compte du Client.
• Catégories de données : identité et coordonnées professionnelles, SIREN, données relatives aux factures et aux créances, correspondances, signature, données de suivi d’envoi.
• VigiCréance ne traite pas sciemment de catégories particulières de données (art. 9 RGPD) ni de données relatives aux condamnations pénales, hors informations publiques de procédure collective figurant dans les annonces.

5. Instructions documentées

VigiCréance traite les données uniquement sur instruction documentée du Client, laquelle résulte du contrat, de l’utilisation du Service et des paramétrages du compte. Elle informe immédiatement le Client si elle estime qu’une instruction viole le RGPD. VigiCréance ne traite pas les données pour son propre compte, sauf obligation légale ou pour les traitements dont elle est elle-même responsable (article 1).

6. Confidentialité

VigiCréance veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité et n’y accèdent que dans la mesure nécessaire au Service (support, maintenance, sécurité).

7. Sécurité (art. 32 RGPD)

VigiCréance met en œuvre les mesures techniques et organisationnelles décrites en Annexe 2, adaptées au risque. Elle les réexamine régulièrement.

8. Sous-traitants ultérieurs

8.1. Le Client donne une autorisation générale de recourir aux sous-traitants ultérieurs listés en Annexe 3.

8.2. VigiCréance informe le Client de tout ajout ou remplacement au moins 30 jours à l’avance (courriel ou notification dans le compte). Le Client peut s’y opposer pour un motif raisonnable lié à la protection des données dans ce délai ; à défaut d’accord, il peut résilier sans pénalité la part du Service concernée.

8.3. VigiCréance impose à ses sous-traitants ultérieurs des obligations équivalentes à celles du présent accord et demeure responsable de leur exécution à l’égard du Client.

9. Assistance au Client

VigiCréance aide le Client, compte tenu de la nature du traitement : (i) à répondre aux demandes d’exercice de droits (accès, rectification, effacement, limitation, portabilité, opposition) : toute demande reçue directement lui est transmise sans retard ; (ii) à respecter ses obligations de sécurité, de notification des violations, d’analyse d’impact et de consultation préalable (art. 32 à 36 RGPD). L’assistance dépassant l’usage normal du Service peut être facturée sur devis.

10. Violation de données

VigiCréance notifie au Client toute violation de données personnelles qu’elle traite pour son compte dans les meilleurs délais après en avoir pris connaissance, avec un objectif de quarante-huit (48) heures, en fournissant les informations disponibles (nature, catégories et volume approximatif, conséquences probables, mesures prises) pour permettre au Client de notifier la CNIL dans les 72 heures (art. 33 RGPD).

11. Fin du contrat : restitution et suppression

11.1. Le Client peut à tout moment, depuis la page « Compte » de son espace, exporter ses données (archive ZIP aux formats JSON et CSV : utilisateurs, clients surveillés, alertes, déclarations, envois ; pièces et preuves jointes lorsque leur volume le permet) puis supprimer son compte. La suppression est immédiate : elle efface les listes, alertes, déclarations, pièces et preuves du Client, ses accès, et résilie son abonnement.

11.2. Si le contrat prend fin sans suppression du compte (par exemple résiliation d’un abonnement payant), le compte reste accessible au forfait gratuit et les données sont conservées pendant la durée du compte. Un compte sans connexion depuis 36 mois est supprimé, après un avertissement envoyé à 35 mois. Les pièces de déclaration, les envois postaux et leurs preuves sont supprimés au plus tard 5 ans après la remise de la lettre à La Poste.

11.3. Les copies de sauvegarde ne sont pas modifiées par une suppression : elles expirent d’elles-mêmes, et les données effacées en disparaissent au plus tard 60 jours après. Sont conservées, sauf obligation légale contraire, les données de facturation (art. L. 123-22 du code de commerce : 10 ans, chez le prestataire de paiement et en comptabilité), ou les données dont le Client demande la conservation pour la défense de ses droits.

12. Audit

VigiCréance met à disposition du Client les informations nécessaires pour démontrer le respect du présent accord et permet la réalisation d’audits, y compris des inspections, par le Client ou un auditeur tiers soumis à confidentialité, sur préavis écrit raisonnable (30 jours), pas plus d’une fois par an sauf incident, pendant les heures ouvrées, aux frais du Client et sans perturber le Service ni compromettre la sécurité des autres clients. Une documentation (rapport de sécurité, réponses à questionnaire) peut être fournie en substitution.

13. Transferts hors Union européenne

Les données du Client sont hébergées en France. VigiCréance ne transfère pas de données hors de l’Union européenne, sauf dans le cadre des traitements opérés par Stripe (Annexe 3), qui s’appuie sur le cadre de protection des données UE–États-Unis et sur les clauses contractuelles types. Tout nouveau transfert est subordonné aux garanties prévues par le chapitre V du RGPD.

14. Responsabilité

La responsabilité de chaque partie au titre du présent accord est soumise aux stipulations de responsabilité des CGU de la bêta, sans préjudice des droits des personnes concernées et des dispositions impératives de l’article 82 du RGPD.

15. Droit applicable et juridiction

Le présent accord est soumis au droit français. Les litiges relèvent de la juridiction désignée à l’article 20 des conditions générales.

Annexe 1 : description du traitement

Annexe 2 : mesures de sécurité

• Hébergement en France chez OVHcloud.
• Chiffrement des communications (TLS) ; pièces et signatures chiffrées au repos.
• Sauvegardes quotidiennes : sauvegarde automatique du serveur chez OVHcloud [à confirmer], copies chiffrées conservées 14 jours sur le serveur d’hébergement, et copie chiffrée rapatriée sur un serveur de l’éditeur situé en France, conservée 60 jours.
• Authentification par lien à usage unique (pas de mot de passe stocké) ; sessions limitées dans le temps.
• Accès restreint aux données selon le principe du moindre privilège ; séparation des données entre clients.
• Journalisation des accès et des actions sensibles.
• Paiements délégués à Stripe : aucun numéro de carte n’est stocké par VigiCréance.
• Mise à jour régulière des composants et gestion des vulnérabilités ; procédure de gestion des incidents.

Détail sur la page Sécurité.

Annexe 3 : sous-traitants ultérieurs autorisés